Подмена системных утилит

Наборы для подмены утилит (rootkit) очень распространены под UNIX, однако такие наборы находятся в стадии разработки и для NT. Эти наборы не предназначены для получения администраторского доступа, а используются после получения полного доступа и позволяют взломщику вернуться в систему когда угодно. Rootkit содержит в себе троянские версии стандартных системных файлов. Например, программа login используется для подключения и аутентификации пользователей в системе. Если взломщик получил полный доступ к системе, он может просто заменить эту программу троянской версией. Если он просто заменит ее своей, все будут считать, что перепутали адрес, поскольку никто не сможет подключиться к системе. А что если взломщик использует первоначальную версию программы, однако добавит в нее скрытые возможности? Скрытая часть будет автоматически позволять подключаться пользователю с определенным именем без ввода пароля и получать полномочия суперпользователя.

Существует два основных способа подмены системных утилит: файлового уровня и уровня ядра. Далее будут описаны оба типы с указанием их недостатков и преимуществ.

Подмена на уровне файлов

Наборы для подмены системных утилит являются очень мощным и простым средством для создания люков в системе. Обычно такие наборы изменяют ключевые системные файлы. Первоначальные версии программ заменяются троянскими. Как правило, первоначальная программа становится явной частью, а люк — скрытой. В наборах утилит часто содержатся троянские версии таких программ:

• login;

• Is;

• ps:

• find;

• who;

• netstat.

В действительности список, как правило, гораздо длиннее, однако этот пример позволяет понять, какие программы интересуют взломщика. Обычно заменяются те программы, которые используются администратором для слежения за системой. Поэтому если со­ответствующим образом изменить эти программы, администратор будет получать ложную информацию и не сможет обнаружить взлом. Однако, поскольку большинство наборов заменяют Is, но не заменяют echo, легко узнать, была ли система взломана. Для этого достаточно запустить Is и echo, и если результаты будут разными, следовательно, у вас возникли проблемы. Как вы понимаете, взломщики тоже знают об этом, а значит, новые версии наборов утилит будут включать в себя и echo.

Как видите, взломщик может сделать троянской любую команду, которая часто используется, и в результате не только создать люк, но и замести следы. Таким образом с помощью одного набора взломщик убивает двух зайцев. Он не только получает возможность вернуться в систему в любой момент, но и значительно усложняет, обнаружение взлома. Давайте разберем пример, когда взломщик не только обеспечивает себе доступ в систему но скрывает следы своего присутствия. Во-первых, он должен установить свою версию программы login, которая работает как обычно, но если при подключении используе имя evileric, эта программа автоматически предоставляет такому пользователю полномочия суперпользователя. Однако если суперпользователь выполнит команду who в тот момент, когда взломщик подключен, он увидит пользователя evileric и заподозрит неладное. Таким образом нужно также установить троянскую версию программы who, которая не позволит администратору увидеть пользователя evileric. Теперь вы начинаете понимать, в чем сила наборов утилит взлома. Даже когда взломщик находится в системе, администратор не может засечь его, поскольку программы слежения выдают ложную информацию. Основная задача наборов для подмены системных утилит— обманывать администратора и скрывать действия взломщика.